IPsec tunelio sąsajos stebėjimas: ką skaityti

Maršrutais pagrįstas IPsec sprendimas įdiegia virtualią sąsają, ir ši sąsaja stebėjimui suteikia konkretų objektą: kažką su pavadinimu, skaitikliais ir prie jo prijungtu maršrutu. Pati savaime ji nėra sveikatos signalas. Sąsaja gali egzistuoti, kai nėra įdiegtos jokios tinkamos asociacijos, o asociacija gali būti sveika, kai joks maršrutas nesiunčia jai dominančio srauto. Būtent keturių būsenų skaitymas kartu paverčia paketų skaitiklį diagnoze.

Peržiūrėkite jas iš eilės ir sustokite prie pirmosios, kuri nepraeina.

Ką sąsaja prideda prie vaizdo

Taisyklėmis pagrįstame sprendime pasirinkimas gyvena IPsec taisyklių lentelėje, o branduolys nusprendžia, kas saugoma, pagal srauto selektorius. Maršrutais pagrįstas sprendimas prideda sąsają ir maršrutą, todėl tcpdump ir sąsajos skaitikliai mato vieną ribą, o ne selektorių rinkinį. Tai tikra nauda diagnostikai ir maršrutizavimo protokolams, kuriems reikia sąsajos peering ryšiui.

Nauda yra administracinė, o ne kriptografinė. Sąsaja praneša apie srautą, kurį neša, ir nieko nesako apie tai, ar partnerio apsauga šiuo metu tinkama naudoti.

Perskaitykite keturias būsenas, prieš kaltindami tunelį

Pradėkite nuo sąsajos ir maršruto, tada nuo asociacijos, tada nuo programos. Kiekviena turi savo komandą ir savo gedimo požymį. Švarus rezultatas viename sluoksnyje nėra švarus rezultatas kitame. Atlikite visus keturis, prieš darydami išvadą. Viena žalia eilutė retai ką nusprendžia.

ip -s link show xfrm0
ip route get 10.20.30.40
ip xfrm state
ip xfrm policy
swanctl --list-sas
tcpdump -ni xfrm0 -c 20 host 10.20.30.40

Sąsaja su augančiu skaitikliu, bet be atitinkamo būsenos įrašo, apibūdina srautą, patenkantį į kelią, kuriame niekas jo neapsaugo, o tai blogiau nei tunelis, kuris tiesiog neveikia. Būsenos įrašas be maršruto, pasirenkančio sąsają, reiškia, kad kriptografija paruošta ir nenaudojama.

Programos testas ateina paskutinis ir tyčia: sėkmingas ping į kitą tunelio pusę neįrodo, kad už jo esanti paslauga priima ryšius.

Palyginkite vidinius skaitiklius su išoriniais

Tunelio sąsajos skaitikliai matuoja vidinį srautą; fizinės sąsajos skaitikliai ir įrašai rodo inkapsuliuotą apsikeitimą. Šie du nesutaps vienas su vienu, nes inkapsuliavimas prideda antraštes, pakartotiniai perdavimai dubliuoja kai kuriuos paketus, o įgyvendinimo apskaita vadovaujasi savo taisyklėmis. Tikitės santykio, o ne lygybės.

Įrašo vieta taip pat lemia, kokius privačius duomenis renkate, todėl naudokite siaurus filtrus ir nekenksmingą bandomąjį adresą, o ne visą produkcinio srauto įrašą.

Jei vidiniai skaitikliai auga, o išoriniai ne, trūkstamas žingsnis paprastai yra maršrutas arba taisyklė, siunčianti paketus į tunelį, o ne pats tunelis.

Stebėkite tai per raktų keitimą ir perjungimą

Stebėkite raktų keitimą, negyvo partnerio aptikimo įvykį ir ryšio perjungimą, tuo pačiu metu sekdami tas pačias keturias būsenas. Sąsaja gali likti, vykstant raktų keitimui, kuris niekada nepasibaigia, o perjungimas gali palikti būsenos įrašą, rodantį į partnerio adresą, kuris nebepasiekiamas.

Signalizuokite apie paslaugos kelią, nuo kurio iš tikrųjų priklausote, su asociacijos būsena kaip kontekstu, o ne apie vieną „aukštyn“ ar „žemyn“ vėliavėlę. Išsaugokite sąsajos pavadinimą, partnerio adresą ir maršrutą aliarmo naudingumoje, kad reaguojantysis neturėtų jų atkurti.

strongSwan dokumentuoja savo XFRM sąsajos modelį, o kitos platformos lygiavertį objektą vadina ir įgyvendina kitaip. Perskaitykite maršrutais pagrįstą palyginimą prietaisui priešais jus, prieš perkeldami prielaidas iš kito įgyvendinimo. Stebėjimo šablonas, tinkantis vieno gamintojo skaitikliams, kito atveju tyliai suklaidins.